某公司有一個應用程式工作流程，其中 AWS Lambda function 會從 Amazon S3 下載並解密檔案。這些檔案使用 AWS Key Management Service (AWS KMS) 金鑰進行加密。解決方案架構師需要確保設定正確的權限。下列哪兩種動作組合可以達成此目的？(請選擇兩項)

正確答案是「在 KMS 金鑰的政策中，授予 Lambda IAM 角色解密權限」和「建立一個具有 kms:decrypt 權限的新 IAM 角色，並將該角色作為其執行角色附加到 Lambda function」。這兩種方法結合起來，確保 Lambda 函數擁有解密 KMS 加密檔案所需的權限。首先，Lambda 函數需要一個 IAM 角色來定義其執行權限，該角色必須包含 kms:decrypt 權限。其次，KMS 金鑰本身也需要授權該 Lambda 函數的 IAM 角色來使用它進行解密，這透過金鑰政策來實現。單獨將 kms:decrypt 權限附加到 Lambda 函數的資源政策是不夠的，因為 Lambda 函數的資源政策主要控制其他 AWS 服務如何呼叫 Lambda，而不是 Lambda 函數本身可以存取哪些資源。在 KMS 金鑰政策中授予 Lambda 資源政策解密權限是錯誤的，因為金鑰政策應授予 IAM 實體（如角色）權限，而不是資源政策。